Cómo activar CSF en cPanel: Firewall básico para servidores | Ciberseguridad

¿Por Qué Necesitas un Firewall en tu Servidor?

Si tienes un sitio web, un blog o una tienda online, tu servidor está expuesto constantemente a intentos de acceso no autorizado, ataques de fuerza bruta y otras amenazas. Un firewall actúa como un guardia de seguridad: analiza todo el tráfico que entra y sale, y bloquea lo que sea sospechoso.

En el mundo del alojamiento web, ConfigServer Security & Firewall (CSF) es una de las herramientas más populares y potentes para proteger servidores Linux. Se integra perfectamente con cPanel, el panel de control más usado. Esta guía te enseñará, paso a paso, cómo activar y configurar CSF de forma segura, incluso si no eres un experto en seguridad.

¿Qué es CSF y por qué es el Firewall Estándar en cPanel?

CSF (ConfigServer Security & Firewall) es un firewall de estado (stateful) que monitorea el tráfico de red y bloquea conexiones no deseadas. No solo filtra puertos, sino que incluye herramientas avanzadas como:

Detección de ataques de fuerza bruta (SSH, FTP, correo, etc.).
Bloqueo temporal y permanente de IPs sospechosas.
Integración con servicios de listas negras (Blocklists).
Protección contra inundaciones (Flood Protection).
Interfaz gráfica desde cPanel para que cualquier usuario pueda gestionarlo.

[INFO] Aunque CSF se asocia principalmente con cPanel, también funciona en otros paneles como Syspanel (antes conocido como HestiaCP), donde el acceso se realiza a través del puerto 2106. Sin embargo, esta guía se centrará en la interfaz de cPanel.

Requisitos Antes de Activar CSF

Antes de lanzarte a activar el firewall, asegúrate de tener lo siguiente:

Acceso a cPanel: Necesitas las credenciales de tu cuenta de hosting o acceso como root al servidor (si eres administrador).
Acceso SSH (Recomendado): Para la instalación y configuración inicial, es más seguro tener acceso por terminal. Si no te sientes cómodo, muchos hosts ya lo tienen preinstalado.
Conocimiento de los puertos que usas: Anota los puertos de servicios como:
- HTTP: 80
- HTTPS: 443
- SSH: 22 (¡cambia el puerto por defecto si puedes!)
- FTP: 21
- MySQL: 3306 (solo si accedes desde fuera)
- Syspanel: 2106 (si usas este panel)

[WARNING] Activar un firewall sin configurarlo correctamente puede bloquear tu propio acceso al servidor. Siempre ten una sesión SSH abierta como respaldo mientras pruebas los cambios.

Paso a Paso: Cómo Activar CSF en cPanel

1. Instalación (Si no está instalado)

En la mayoría de los servidores con cPanel, CSF ya viene preinstalado. Para verificarlo, accede a tu servidor por SSH y ejecuta:

csf -v

Si ves un número de versión, ¡está instalado! Si no, puedes instalarlo con estos comandos (como root):

cd /usr/src
wget https://download.configserver.com/csf.tgz
tar -xzf csf.tgz
cd csf
sh install.sh

2. Acceso a la Interfaz Gráfica en cPanel

Una vez instalado, puedes gestionarlo desde cPanel:

Inicia sesión en tu cPanel.
Busca la sección "Plugins" o "Seguridad".
Haz clic en "ConfigServer Security & Firewall".

Se abrirá una nueva ventana con el panel de control de CSF.

3. Configuración Inicial (El Archivo `csf.conf`)

La configuración principal se realiza editando el archivo /etc/csf/csf.conf. Puedes hacerlo desde la interfaz gráfica (pestaña "Firewall Configuration") o por SSH.

Lo Primero: Configurar los Puertos Permitidos

Busca la sección TCP_IN y TCP_OUT. Aquí defines qué puertos pueden recibir conexiones entrantes y salientes.

Ejemplo de configuración básica segura:

# Puertos de entrada (TCP_IN)
TCP_IN = "20,21,22,25,53,80,110,143,443,465,587,993,995,2077,2078,2082,2083,2086,2087,2095,2096,2106"

# Puertos de salida (TCP_OUT)
TCP_OUT = "20,21,22,25,53,80,110,113,443,587,993,995,2077,2078,2082,2083,2086,2087,2095,2096,2106"

[TIP] Si usas Syspanel, asegúrate de incluir el puerto 2106 en ambas listas. Si no usas correo SMTP, puedes eliminar puertos como el 25 o 587 para mayor seguridad.

Activar la Protección Contra Fuerza Bruta

CSF incluye un módulo llamado LFD (Login Failure Daemon) que bloquea IPs tras varios intentos fallidos. Para activarlo:

Busca la línea LF_DAEMON = "0" y cámbiala a LF_DAEMON = "1".
Configura los umbrales:
- LF_SSHD = "5" (Bloquear IP tras 5 intentos fallidos de SSH en 1 hora).
- LF_FTPD = "5" (Lo mismo para FTP).
- LF_CPANEL = "5" (Para intentos en cPanel).

4. Activar el Firewall

Una vez configurado, ve a la pestaña "Firewall Status" en la interfaz gráfica y haz clic en "Start". También puedes hacerlo por SSH:

csf -e   # Activar el firewall
csf -r   # Reiniciar el firewall (para aplicar cambios)

Verás un mensaje como: csf: enabled. ¡El firewall ya está activo!

5. Pruebas y Verificación

Es crucial verificar que todo funciona correctamente:

Desde SSH: Ejecuta csf -l para ver las reglas activas.
Desde cPanel: Ve a "Firewall Status" y confirma que dice "Running".
Accede a tu web: Abre tu dominio en el navegador (puertos 80 y 443).
Prueba SSH: Conéctate por SSH desde otra terminal.

[WARNING] Si te quedas bloqueado, reinicia el servidor desde el panel de tu proveedor o usa la consola de emergencia para ejecutar csf -f (desactivar forzadamente).

Configuraciones Avanzadas para Mejorar la Seguridad

Bloqueo de Países (Country Block)

Si tu web solo recibe visitas de ciertos países, puedes bloquear el resto. En la interfaz de CSF, ve a "Country Block" y activa la opción. Luego, en el archivo csf.conf, configura:

CC_ALLOW = "ES,PT,FR"   # Países permitidos (España, Portugal, Francia)
CC_DENY = "RU,CN,UA"    # Países bloqueados (Rusia, China, Ucrania)

[INFO] Esta función usa listas de IPs por país y puede ralentizar ligeramente el servidor si se usa con muchos países.

Protección contra Inundaciones (Flood Protection)

Para evitar ataques DDoS básicos, activa:

CT_LIMIT = "300"          # Conexiones máximas por IP por minuto
CT_INTERVAL = "60"        # Intervalo de tiempo (segundos)
CT_ENABLE = "1"           # Activar protección

Lista Blanca y Lista Negra de IPs

IPs Permitidas (Whitelist): Añade IPs de confianza (tu oficina, casa) en /etc/csf/csf.allow. Por SSH: echo "192.168.1.100" >> /etc/csf/csf.allow.
IPs Bloqueadas (Denylist): Bloquea IPs maliciosas en /etc/csf/csf.deny. Por SSH: echo "10.0.0.5" >> /etc/csf/csf.deny.

Después de modificar, reinicia CSF: csf -r.

Preguntas Frecuentes (FAQ)

¿Puedo desactivar CSF temporalmente?

Sí, desde SSH ejecuta csf -f (desactivar forzado) o desde cPanel en "Firewall Status" haz clic en "Stop". Ten cuidado, dejarás el servidor desprotegido.

¿CSF afecta el rendimiento de mi web?

No de forma significativa. CSF es ligero y solo analiza los paquetes que pasan por el firewall. En servidores con mucho tráfico, puedes ajustar los umbrales para evitar falsos positivos.

¿Cómo sé si una IP está bloqueada?

Revisa el archivo /etc/csf/csf.deny o desde la interfaz gráfica en "Denied IPs". También puedes ejecutar csf -t [IP] para verificar.

¿Qué hago si bloqueo mi propia IP?

Tranquilo. Si tienes acceso SSH desde otra IP, edita /etc/csf/csf.allow y añade tu IP. Luego reinicia CSF. Si no, contacta a tu proveedor de hosting para que te desbloquee.

¿CSF es compatible con Syspanel?

Sí, CSF funciona perfectamente con Syspanel (antes HestiaCP). Solo asegúrate de que el puerto 2106 esté abierto en TCP_IN y TCP_OUT. La instalación es la misma que en cPanel.

¿Necesito ser root para configurar CSF?

Para la instalación y cambios en archivos de configuración, sí. Pero desde cPanel, cualquier usuario con permisos puede ver el estado y gestionar listas de IPs.

Conclusión: Tu Servidor, Más Seguro

Activar CSF en tu servidor es uno de los pasos más importantes para proteger tu sitio web y tus datos. Con esta guía, has aprendido a instalarlo, configurarlo y personalizarlo según tus necesidades. Recuerda:

Empieza con lo básico: Configura los puertos y activa la protección contra fuerza bruta.
Prueba siempre los cambios en un entorno seguro.
Mantén CSF actualizado para beneficiarte de las últimas mejoras de seguridad.

La ciberseguridad no es un lujo, es una necesidad. Un firewall bien configurado es tu primera línea de defensa. Si tienes dudas, no dudes en consultar la documentación oficial de CSF o preguntar a tu proveedor de hosting.

[TIP FINAL] Programa recordatorios mensuales para revisar los logs de CSF (/var/log/lfd.log) y ajustar las reglas según el tráfico de tu web. ¡Tu servidor te lo agradecerá!